Взлом Binance на $6,3 млрд: сотрудников обманули фейковыми собеседованиями

Binance сообщила подробности взлома на $6,3 млрд ≈ 18,6 млрд BYN. Компания утверждает, что злоумышленники не использовали техническую уязвимость в её системах. Вместо этого они обманули нескольких сотрудников, выдав себя за работодателей. Федеральное бюро расследований США возложило ответственность за атаку на хакеров из КНДР.

Как вредоносный код попал в инфраструктуру

Подготовка началась в июне. Инженер, работавший над инфраструктурой кошельков Binance, искал инструменты для разработки и воспользовался поисковой ИИ-системой. По одной из найденных ссылок он скачал подменённую злоумышленниками версию менеджера пакетов Homebrew. Так в инфраструктуру компании проник вредоносный код.

Служба безопасности Binance заметила аномалию: устройство сотрудника было подменено, а связанные с ним учётные данные сменили. Однако к этому моменту хакеры уже успели выяснить роли инженера и его коллег по команде. Эти сведения позволили им начать основную атаку.

Фейковое собеседование в сентябре

В сентябре злоумышленники использовали украденные данные о сотрудниках и вышли на другого инженера Binance через платформу для поиска работы. Они представились руководителями вымышленной компании и провели двухэтапное собеседование. На первом этапе фальшивый HR-специалист провёл видеовстречу и показал личный аккаунт в соцсети с фото и видео. На втором этапе, в личной переписке в неназванном мессенджере, инженеру предложили скачать «тестовое задание». На деле это был репозиторий с вредоносным кодом.

Как именно вирус оказался на рабочем компьютере и почему тот не был защищён, Binance объяснить не смогла. По словам компании, после установки программа незаметно внедрилась в инструмент для разработки и установила связь с сервером злоумышленников. Какую технологию для этого использовали, Binance не раскрыла, поэтому системы защиты угрозу не обнаружили.

Атака 20 октября и ночь взлома

20 октября хакеры, действуя с заражённого компьютера, получили доступ к устройствам ещё двух сотрудников, в том числе инженера из команды, работающей с инфраструктурой кошельков. На его компьютере они нашли токен, позволяющий разворачивать программные контейнеры. В ночь атаки злоумышленники подключились к компьютеру третьего инженера, использовали украденные учётные данные, развернули собственный несанкционированный контейнер и запустили скрипт, который провёл транзакции по выводу средств. Атака на биржу произошла в ночь с 29 на 30 октября.

Версия о романтической связи

Вскоре после взлома в соцсети X разошлась версия, согласно которой инженер Binance состоял в отношениях с девушкой из КНДР, и через неё злоумышленники получили доступ к системам компании. Автор версии, анонимный пользователь с ником doomerfied, утверждает, что девушка постепенно выясняла рабочие процессы через бытовые вопросы, а затем попросила сотрудника установить «полезную утилиту». Официальных подтверждений этой версии в материале нет, а Binance подаёт причину взлома как обман сотрудников.